其他
别这样直接运行Python命令,否则电脑等于“裸奔”
关注上方“Python数据科学”,选择星标,
关键时间,第一时间送达!
编译整理:晓查 报道:量子位
原文链接:http://dwz.date/dnz
my_lib.py
,只需在调用这个模块的程序中加入一行import my_lib
即可。~/Downloads
文件夹后,就直接在此路径下运行python命令,这样做会给电脑带来极大的隐患。别再图方便了
系统路径上的每个条目都处于安全的位置;
“主脚本”所在的目录始终位于系统路径中;
若python命令使用-c和-m选项,调用程序的目录也必须是安全的。
/usr/bin
文件夹下,并运行pip命令。由于/usr/bin
是系统路径,因此这是一个非常安全的地方。$PATH
设置的复杂性,而且对于Windows用户来说,也可以避免处理安装各种exe脚本和文档。下载文件夹并不安全
$ python -m pip install ./totally-legit-package.whl
pip.py
到下载文件夹中。~$ cd attacker_dir
$ echo 'print("lol ur pwnt")' > pip.py
$ python -m pip install requests
lol ur pwnt
设置$PYTHONPATH也不安全
$PYTHONPATH
环境变量,不把当前目录放在环境变量里,这样不就安全了吗?try:
import optional_extra
except ImportError:
print("extra not found, that's fine")
print("lol ur pwnt")
$ python ../install_dir/tool.py
extra not found, that's fine
$PYTHONPATH
以前是空的或者未设置,那么它会包含一个空字符串,该字符串被解析为当前目录。~/attacker_dir$ python ../install_dir/tool.py
lol ur pwnt
$PYTHONPATH
总该没问题了吧?Naive!还是不安全!~/attacker_dir$ python ../install_dir/tool.py
lol ur pwnt
$PYTHONPATH
变成空的了,这和unset是不一样的。os.environ.get(“PYTHONPATH”) == “”
和 os.environ.get(“PYTHONPATH”) == None
是不一样的。$PYTHONPATH
已从shell中清除,则需要使用unset命令处理一遍,然后就正常了。$PYTHONPATH
曾经是设置Python开发环境的最常用方法。但你以后最好别再用它了,virtualenv可以更好地满足开发者需求。如果你过去设置了一个$PYTHONPATH
,现在是很好的机会,把它删除了吧。export PYTHONPATH="${PYTHONPATH:+${PYTHONPATH}:}new_entry_2"
$PYTHONPATH
变量的值会变成:new_entry_1:new_entry_2
$PYTHONPATH
中没有空格和多余的冒号。jupyter notebook ~/Downloads/anything.ipynb
也有可能将恶意程序引入到代码中。预防措施
如果要在下载文件夹~/Downloads中使用Python编写的工具,请养成良好习惯,使用pip所在路径
/path/to/venv/bin/pip
,而不是输入/path/to/venv/bin/python -m pip
。避免将~/Downloads作为当前工作目录,并在启动之前将要使用的任何软件移至更合适的位置。
-end-
我是东哥,最后给大家免费分享入门Python的最强三件套:《ThinkPython》、《简明Python教程》、《Python进阶》的PDF电子版。如果你是刚入门的小白,不用想了,这是最好的学习教材。
现在免费分享出来,有需要的读者可以下载学习,在下面的公众号GitHuboy里回复关键字:Python,就行。